Поставщик ИТ-решений PRO32 сообщает вам, что после 17 лет сотрудничества мы более не являемся
эксклюзивным дистрибьютором программных продуктов словацкого разработчика ESET в России,
Республике Беларусь, Казахстане, Азербайджане, Узбекистане, Кыргызстане, Таджикистане, Туркменистане,
Молдове, Грузии и Армении.
Купить и продлить лицензии ESET на нашем сайте больше нельзя.
Предлагаем вам попробовать новый антивирус от компании
PRO32.
Продукты PRO32 — это технологичные решения, надежная защита от киберугроз
и максимальная производительность устройств на Windows / Android.
Для действующих клиентов ESET мы предлагаем промокод на скидку в размере
15% — ESET15. Скопируйте его и после добавления товара в корзину, не забудьте его
применить в корзине.
не обязательно. можно повторно сделать лог в обычном режиме - с большой долей вероятности - в этот лог уже попадет вирус. но в безопасном он попадет в образ уже со 100% точностью
Правильно заданный вопрос - это уже половина ответа
Арвид пишет: не обязательно. можно повторно сделать лог в обычном режиме - с большой долей вероятности - в этот лог уже попадет вирус. но в безопасном он попадет в образ уже со 100% точностью
Арвид пишет: Как так? Вместо запроса лога из безопасного режиме просить повторный лог с adddir автозагрузка+crimg? В следующий сделаем так, посмотрим разницу.
Именно - так ! Возможно этот вариант будет более рационален. т.как - в ряде случаев нужно дать пояснение, как это сделать. А, в ряде случаев режим не работает. Да и не факт что будет результат. В общем можно проработать вариант с adddir автозагрузка + crimg.
третий, или четвертый случай встречается, когда после лечения в tdsskiller усиленного_модифицированного Carberp в загрузчике, после перезагрузки uVS обнаруживает в загрузчике (и VT в том числе) обычный, нормальный Carberp, который уже можно пролечит ьскриптом с fixvbr
Вот информация. Насколько это работает ? Хотя бы - для некоторых зверей ? Если - работает - то... Есть смысл предложить для реализации в uVS. Сам вирус может и не найдёт - но предупредит - даст информацию в логе. А, кто предупреждён тот... ---------------------------- Trojan.Mayachok.2 – первый VBR-буткит 08.07.2011 10:01 ( Информация Dr Web )
Цитата
При загрузке вирусный драйвера вызывается дважды. При первом вызове он добавляет себя в списки из LOADER_PARAMETER_BLOCK: в LoadOrderList как копия первого модуля в списке (а это ядро ОС) и в BootDriverList как загрузочный драйвер, якобы прописанный в \Registry\Machine\System\CurrentControlSet\Services\null. Таким образом, вредоносная программа имитирует свою загрузку в качестве обычного boot-драйвера. Второй раз драйвер вызывается операционной системой, которая уверена, что сама загрузила его.
Данные манипуляции приводят к некоторым побочным эффектам. Например, в системе появляется драйвер Null, но при более внимательном рассмотрении оказывается, что он был создан ядром (ntoskrnl.exe).
В качестве экспресс-проверки системы на наличие или отсутствие заражения можно использовать простую команду "echo hello >nul", которая на неинфицированной системе успешно выполняется, а на зараженной выдает сообщение об ошибке.
santy пишет: о каком бутките здесь идет речь? о том, что защищает себя от перезаписи? так он детектируется по сигнатурам uVS, или при проверке IPL на VT/Jotti
А,я откуда знаю какой ? Но может это и при других случаях работает... Кроме того: Одно дело сигнатуры - другое самостоятельное обнаружение/предупреждение от uVS + новая версия зловреда. и VT/Jotti - могут быть по той или иной причине недоступны. А так - есть подозрение... Взяли и пролечили на всякий пожарный. * Увидел - почитал - подумал и написал. А нет... так нет...
